NetScaler 제로데이 악용, 대규모 공격으로 확산 (CVE-2026-88771)

한 줄 요약

인터넷에 노출된 Citrix NetScaler ADC/Gateway 장비를 겨냥한 제로데이 공격이 대규모 무차별 공격으로 확산되고 있습니다. CVE-2026-88771과 CVE-2026-88772라는 두 개의 심각한 취약점이 실제 공격에 악용되고 있으며, 공개적으로 취약점 분석 자료와 공격 코드(PoC)가 풀리면서 전 세계에서 무작위 스캔과 공격 시도가 폭증했습니다. 보안 업체들은 공격자가 관리자 권한을 탈취하고, 가짜 스타일시트 파일로 위장한 백도어(웹셸)를 심고, 로그를 조작해 흔적을 지우는 방식을 확인했습니다. 전 세계 약 4만 2천 대의 NetScaler 장비가 인터넷에 노출돼 있는데, 이 중 패치를 완료한 곳은 10% 미만으로 추정되며 100곳 이상의 피해 조직이 확인되고 있습니다.

사건

Citrix NetScaler ADC/Gateway의 취약점 CVE-2026-88771, CVE-2026-88772가 제로데이로 실제 악용되다가, 취약점 분석 및 공격 코드(PoC) 공개 이후 무차별 대규모 공격으로 확산됨.

영향

전 세계 약 42,000대의 인터넷 노출 NetScaler 장비가 잠재적 공격 대상이며, 이미 100곳 이상의 조직이 피해를 입은 것으로 추정됨. 공격자는 관리자 권한 탈취, 백도어(웹셸) 설치, 로그 조작 등을 수행함.

원인

Citrix NetScaler의 메모리 버퍼 처리 오류(CVE-2026-88772) 및 입력값 검증 미흡(CVE-2026-88771) 취약점이 원인이며, 기본 설정 상태에서도 원격으로 악용 가능함.

대응

Citrix는 8개의 심각/고위험 취약점에 대한 패치를 배포하고 침해 여부 점검용 탐지 스크립트를 제공했으나, 공격자의 수법 변화로 탐지에 한계가 있음을 인정함. GreyNoise, CERT-EU 등 보안 업체가 위협 헌팅 정보를 공유하고 있음.

실무 포인트

패치 미적용 장비는 이미 스캔·공격 대상이 되었다고 가정해야 하며, 특정 로그 패턴(POST /nf/auth/doAuthentication.do 요청 내 'pitboss PPE unexpectedly died NSPPE' 문자열)과 의심스러운 DNS 조회(instances.httpworkbench.com)를 점검해 침해 여부를 확인해야 함.

본문

인터넷에 노출된 취약한 Citrix NetScaler ADC 및 Gateway 구축 환경에 대한 해킹이 확대되고 있습니다.

은밀한 제로데이 공격으로 시작된 이 사태는, CVE-2026-88771에 대한 근본 원인 분석 자료와 공격 증명 코드(proof-of-concept exploit)가 공개되면서 광범위한 "닥치는 대로 뿌리기(spray and pray)" 방식의 공격으로 번졌습니다. 이 취약점은 기본 설정 상태의 패치되지 않은 장비에서 원격으로 악용 가능합니다.

소문에서 확인된 제로데이로

지난주 후반 NetScaler 제로데이가 실제 악용되고 있다는 소문이 돌기 시작했고, Citrix가 8개의 심각(critical) 및 고위험(high-risk) 취약점에 대한 패치를 배포한 뒤 보안 권고문을 발표하면서 이 소문이 사실로 확인되었습니다.

이 중 CVE-2026-88771과 CVE-2026-88772 두 취약점 모두 제로데이로 악용되었습니다.

Citrix는 또한 고객이 침해 흔적을 확인할 수 있도록 탐지 스크립트를 제공했지만, 공격자가 전술·기법·절차(TTP)와 인프라를 자주 바꾸기 때문에 이 스크립트가 "실제 침해를 식별하지 못할 수도 있다"고 인정했습니다.

이후 여러 사이버보안 업체와 보안 연구자들이 전체 그림을 완성하는 데 도움이 되는 정보를 공유해왔습니다.

연구자들이 관찰한 내용

공격자 행동에 관한 데이터를 대규모로 수집·분석하는 기만(deception) 및 관찰 네트워크를 운영하는 위협 인텔리전스 기업 GreyNoise는, 공개 발표보다 사흘 넘게 앞선 9월 24일에 악성 사이버 공격자가 Citrix NetScaler Gateway에 대한 제로데이 악용을 시도한 것을 탐지했다고 밝혔습니다.

"공격자는 대상이 된 Swarm 센서에 발판을 마련하는 데는 실패했지만, 그 공격 후 행동 절차(post-exploitation playbook)가 드러났습니다"라고 해당 업체는 언급했습니다.

공격자는 관리자 권한 획득을 시도했고, 가짜 스타일시트 주소 뒤에 웹셸(백도어)을 숨겼으며, 로그에서 흔적을 지우고 서버를 재시작하려 했습니다.

사이버 기만 및 위협 인텔리전스 기업 Lupovis의 CEO인 Xavier Bellekens는 Help Net Security에 자사 센서 네트워크가 watchTowr Labs의 CVE-2026-88771 PoC 공개 직후 몇 분 만에 Citrix NetScaler에 대한 실시간 악용 시도를 기록하기 시작했다고 말했습니다.

이들이 포착한 시도는 기회주의적인 성격으로, 노출되어 패치되지 않은 장비를 찾아 인터넷 전체를 스캔하는 것을 목표로 했습니다. "NetScaler를 운영하면서 아직 패치하지 않았다면, 이미 탐색 대상이 되었다고 가정해야 합니다"라고 그는 덧붙였습니다.

공격자가 사용한 기법은 로그 오염(log poisoning)이며, 수집된 데이터는 Hetzner 서버(138.199.200.90)로 유출됩니다.

그가 조직들에 조언하는 바는, 본문에 pitboss PPE unexpectedly died NSPPE라는 문자열이 포함된 POST /nf/auth/doAuthentication.do 요청을 찾아보고, instances.httpworkbench.com으로 끝나는 아웃바운드 DNS 조회를 감시하라는 것입니다. 이는 조직 내 호스트가 이미 공격당했음을 나타냅니다.

CERT-EU 또한 악용 소문을 듣고 시작한 자체 조사를 바탕으로, 기술적 세부 정보와 위협 헌팅 조언 및 참고 자료를 게시했습니다.

방대한 잠재적 공격 대상군

동일한 이름의 인터넷 스캐닝 플랫폼을 운영하는 기업 Censys는 현재 NetScaler ADC 또는 NetScaler Gateway를 실행 중인 인터넷 노출 호스트를 약 42,000대 탐지하고 있다고 밝혔습니다. 다만 이 호스트들이 공격에 취약한지, 이미 침해되었는지는 "확인할 수 없다"고 덧붙였습니다.

"미국이 13,549대(32%)로 가장 많고, 독일이 5,678대(13%)로 그 뒤를 이으며, 네덜란드, 영국, 스위스가 각각 약 4%를 차지합니다"라고 해당 업체는 전했습니다.

"Microsoft가 4,254대(10%), Amazon이 3,013대(7%)를 호스팅하고 있는데, 이는 NetScaler VPX 가상 어플라이언스가 퍼블릭 클라우드에 배포되는 경향과 일치합니다. 전체 호스트의 4분의 3 이상은 상위 10대 네트워크 바깥에 분산되어 있으며, 기업 및 통신사 주소 공간에 걸쳐 있습니다."

보안 연구자 Kevin Beaumont는 오늘 펌웨어 버전 스캔을 진행한 결과, 노출된 호스트 중 패치가 완료된 비율이 10% 미만이라고 밝혔습니다.

그는 또한 100곳이 넘는 피해 조직을 추적하고 있으며, "각 조직마다 고유한 웹셸이 심어져 있어 공격자가 아니고서는 원격으로 스캔해 찾아낼 수 없다"고 밝혔습니다. 그는 초기 공격자들의 목적이 첩보(espionage) 활동이라고 보고 있습니다.

CVE-2026-88772에 대해서는, 초기 공격자들이 악용한 또 다른 취약점임에도 현재 공개된 PoC가 없습니다.